Organisaties en bedrijven kunnen zich bij het gebruik en ontwikkelen van generatieve AI niet vanzelfsprekend beroepen op een gerechtvaardigd belang, zo stelt de Autoriteit Persoonsgegevens (AP) in een nieuwe handreiking. Volgens de privacytoezichthouder brengt het naleven van de AVG bij de ontwikkeling en het gebruik van generatieve AI-modellen complexe uitdagingen met zich mee.

"Om persoonsgegevens rechtmatig te verwerken, moeten ontwikkelaars en gebruiksverantwoordelijken eerst een grondslag hebben. Daarnaast moeten zij passende waarborgen nemen, zorgvuldig omgaan met de rechten van betrokkenen, voldoen aan beginselen zoals doelbinding, juistheid en transparantie en grip hebben op de noodzaak en de werking van deze waarborgen", aldus de AP. "Alleen als aan al deze voorwaarden is voldaan, kan de training en de keuze van ingebruikname van generatieve AI rechtmatig plaatsvinden binnen het kader van de AVG."

De ontwikkeling en het gebruik van generatieve AI-modellen kan volgens de toezichthouder rechtmatig plaatsvinden, afhankelijk van de manier waarop gegevens worden verzameld en het model wordt getraind. Het rechtmatig verwerken van persoonsgegevens vereist een grondslag. De AP zegt mogelijkheden te zien in de grondslag ‘gerechtvaardigd belang’. "Maar het is niet vanzelfsprekend dat het verwerken van persoonsgegevens in de context van generatieve AI rechtmatig kan plaatsvinden."

Organisaties die een beroep doen op de grondslag 'gerechtvaardigd belang' moeten kunnen aantonen dat er een gerechtvaardigd belang bestaat, de verwerking noodzakelijk is om dat belang te realiseren en de belangen of fundamentele rechten en vrijheden van betrokkenen niet zwaarder wegen dan dat belang. Organisaties moeten ook beoordelen wat de gevolgen voor de betrokkenen zijn.

Scraping

Voor de ontwikkeling van AI-modellen worden grote hoeveelheden data gebruikt, die bijvoorbeeld door middel van scraping zijn verkregen. De AP stelt dat bij indirecte dataverzamelingen, bijvoorbeeld via scraping, organisaties moeten nagaan of betrokkenen redelijkerwijs kunnen verwachten dat hun persoonsgegevens op deze manier worden verwerkt. Tot slot moeten organisaties gepaste maatregelen nemen om niet-noodzakelijke persoonsgegevens uit te sluiten en zo de rechten en vrijheden van betrokkenen te beschermen.

"Als er geen noodzaak is voor het scrapen en meetrainen van persoonsgegevens, bijvoorbeeld omdat vergelijkbare datasets beschikbaar zijn zonder of met veel minder persoonsgegevens, slaagt de noodzakelijkheidstoets niet. In dat geval kan geen beroep worden gedaan op de grondslag ‘gerechtvaardigd belang’", legt de AP uit. De toezichthouder stelt ook dat door de grote hoeveelheden data die via scraping worden verkregen er een aanzienlijke inbreuk op de rechten en vrijheden van betrokkenen kan zijn.

Hulpmiddel

Naast de handreiking heeft de AP ook een hulpmiddel gepubliceerd voor organisaties die generatieve AI willen aanschaffen, implementeren en gebruiken. Het hulpmiddel is een checklist die privacy professionals, projectleiders en andere verantwoordelijken moeten helpen om stap voor stap te beoordelen of hun organisatie generatieve AI wil, kan en mag gebruiken. "Het is een praktisch instrument om na te gaan welke AVG-verplichtingen van toepassing zijn en welke technische en organisatorische maatregelen nodig zijn om generatieve AI verantwoord te gebruiken", aldus de toezichthouder.